XFRM podrazumijevana ruta progutala IKE i ESP: sačuvajte vanjsku putanju

Saobraćaj je zaštićen, tunel radi, a zatim pada pri sljedećem obnavljanju ključeva. Podrazumijevana ruta kroz XFRM interfejs opisivala je saobraćaj koji ste htjeli zaštititi. Ona je progutala i pakete potrebne da se zaštita nastavi.

Dva uključena odredišta nisu zamjenjiva. Rutiranje to mora reći eksplicitno.

Kuda zapravo ide pretraga peera

Zabilježite aktivna pravila, tabelu u kojoj je XFRM ruta i javnu adresu peera. Zatim pogledajte putanju koju bi vanjska veza uzela sa svojim stvarnim izvorom i oznakom. Općenito odredište ne govori ništa o toj kontrolnoj putanji. Samo stvarni izvor i oznaka daju koristan odgovor.

Uspješna početna veza također malo dokazuje. Otkaz se često pojavi nakon što instalacija rute promijeni odgovor. Pokretanje uspije, a zatim prvo obnavljanje ne uspije.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

Ako pretraga za peer završi u XFRM interfejsu, vanjski paketi se rutiraju u tunel koji sami grade. To je petlja, vidljiva jednom komandom.

Opcije izuzimanja na modernom gatewayu

strongSwan-ova dokumentacija o VPN-u zasnovanom na rutama navodi dva praktična odgovora. Jedan označava IKE i ESP tako da se pravilo koje pokazuje na XFRM tabelu ne poklapa s njima. Drugi ostavlja rutu peera ili izuzetak do kojeg pretraga još može stići.

Uzmite ono što vaš skup pravila može izraziti bez nuspojava. Oznaka je čista kada ostatak stacka već koristi oznake. Ona je opasnost kada ista maska znači nešto drugo u drugom pravilu. Obje vrste paketa u svakom slučaju trebaju tretman.

Označavanje samo IKE-a ostavlja podatkovne pakete na uhvaćenoj putanji. To stvara tunel koji obavi handshake, a zatim ne nosi ništa.

Oznaka je jedan bit u fwmark polju paketa koji ništa drugo na gatewayu ne traži: 0x1 s maskom 0x1 uobičajen je izbor i mora se postaviti na dva mjesta da bi izuzimanje radilo. Charon je treba na IKE soketu, a postavke dolazne i odlazne oznake child veze trebaju istu vrijednost da bi inkapsulirani paketi također izlazili označeni. Maska 0x1 umjesto 0xffffffff ostavlja preostale bitove slobodnim, što je važno kada drugi podsistem već označava pakete na istom hostu. Kada su obje postavke uključene, pravilo se piše kao izuzimanje, pa označeni paketi preskaču tabelu s XFRM rutom i prelaze u glavnu tabelu:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

Zatim pročitajte odgovor s primijenjenom oznakom. Bez nje pregledate putanju kojom ide zaštićeni saobraćaj, što je suprotno od pitanja ovog odjeljka.

Šta automatska instalacija pretpostavlja o build-u

Automatska instalacija rute za XFRM interfejs zavisi od verzije strongSwan-a i njegove konfiguracije. ID interfejsa, instalirana politika i asocijacija moraju svi upućivati na predviđene objekte. Nesklad se pojavljuje kao ruta koja tiho pokazuje negdje stvarno.

Kopiranje broja tabele ili maske oznake s drugog gatewaya jeste način na koji počinju kolizije. Prvo provjerite šta je već koristi. Kolizija utiče na saobraćaj daleko izvan tunela koji ste htjeli promijeniti, a simptom rijetko upućuje na kopiju.

Promjene adrese peera dio su dizajna. Host ruta za jučerašnju adresu nije plan oporavka endpointa, dok oznaka preživljava tu promjenu.

Pratite prvo obnavljanje

Provjerite vanjsku putanju nakon što su zaštićene rute instalirane, ne prije. Zatim pratite sljedeće obnavljanje i jednu razmjenu aplikacije. Otkaz se obično pojavljuje na tom prijelazu, a ne pri pokretanju.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

Privremeno uklanjanje zaštićene podrazumijevane rute obično vraća vezu. Taj rezultat je dijagnostički, ne konačan.

Cilj je stabilna podjela između unutrašnjeg saobraćaja i vanjskih paketa koji ga nose. Upišite odabrani mehanizam i njegovu tabelu ili oznaku u bilješke gatewaya. Inače će sljedeća osoba koja dira pravila ponovo uvesti petlju.